Zranitelnosti a odměny

Vyplácíme odměny za objevené zranitelnosti nebo problémy týkající se bezpečnosti. Abychom vám mohli vyplatit odměnu, musí být splněny následující podmínky.

#1 Zranitelnost musí být jedinečná 
Pokud obdržíme více hlášení, odměnu získá ten, kdo ji nahlásil jako první. Podle našeho uvážení můžeme vyplatit symbolické odměny za sekundární nahlášení, abychom podpořili budoucí objevování.

#2 Zranitelnost musí být reprodukovatelná
Nevyplatíme odměnu za žádnou zranitelnost, kterou nelze reprodukovat. Nevyplatíme odměny za videa na YouTube, která demonstrují zranitelnost, kterou nelze reprodukovat.

#3 Musí mít scénář útoku
Útok musí mít schopnost šíření prostřednictvím našich systémů. Vysvětlete prosím schopnost šíření. Například využití našeho API a následné napsání škodlivých skriptů by se nepočítalo, protože by se to nelišilo od pouhého vytvoření stránky se škodlivými skripty.
 

Jak se určuje výše odměny

Každá výše uvedená kategorie má rozmezí výplaty. To, kde se platné hlášení v rámci svého rozmezí umístí, závisí na třech faktorech:

Oprávnění vyžadovaná k využití. Neověřené chyby se nacházejí na horní hranici rozmezí. Chyby, které vyžadují ověřeného uživatele, se nacházejí uprostřed. Chyby, které vyžadují privilegovaný kontext (team admin, team owner, paid plan, interní zaměstnanci) se nacházejí na spodní hranici.

Rozsah dopadu (Blast radius). Zranitelnosti ovlivňující každého uživatele nebo každou mapu přinášejí vyšší odměnu než zranitelnosti ovlivňující jeden účet nebo jeden tým, do kterého útočník již patří.

Vratnost. Škody, které může postižený uživatel vrátit zpět pomocí běžných postupů (například resetováním hesla), přinášejí nižší odměnu než škody, které přetrvávají nebo vyžadují náš zásah k jejich nápravě.

Vliv má také kvalita hlášení. Jasný popis s funkčním konceptem (proof of concept), analýzou hlavní příčiny a návrhem na nápravu může získat horní hranici rozmezí, i když by samotný technický dopad odpovídal střednímu rozmezí. Nedbalá nebo spekulativní hlášení mohou získat spodní hranici.

Mimo rozsah (Out of scope)

Na následující položky se odměna nevztahuje:

Anonymní komunitní mapy. Mapy bez vlastníka, které může upravovat kdokoli, jsou dlouhodobou komunitní funkcí. Přepsání anonymní mapy není zranitelnost.

Neveřejné mapy (URL jako přihlašovací údaj). Mapy bez funkce LockView jsou záměrně přístupné každému, kdo zná URL adresu, podobně jako neveřejné video na YouTube. Přístup k takové mapě nebo její uložení na základě znalosti kódu mapy je záměrnou vlastností systému.

Software třetích stran, který hostujeme, ale nespravujeme. Problémy v GeoServeru, Tomcatu nebo jiných technologiích třetích stran nasazených vedle našich služeb. Nahlaste je prosím příslušným správcům daného softwaru.

Chybějící bezpečnostní hlavičky bez konkrétního scénáře útoku. Hlášení o CSP, X-Frame-Options, HSTS atd. bez funkčního exploitu nejsou způsobilá pro odměnu.

Omezení rychlosti požadavků (Rate limiting) samo o sobě. Absence omezení rychlosti na koncových bodech, kde toto omezení není kritické z hlediska bezpečnosti, bez prokázaného scénáře zneužití.

Využití AI

K prvotnímu ověření pro účely třídění využíváme AI. Někdy dělá chyby, každé hlášení proto kontrolujeme lidmi. Pokud si však myslíte, že AI udělala na začátku velkou chybu, přidejte k podání poznámku s dalším kontextem atd..ohrozit jakékoli

Použití nástroje Burp / Koncové body

Pro rychlé skenování používáme nástroje jako Burp. Obecně bychom preferovali, abyste tyto skeny na našich systémech neprováděli, protože tisíce požadavků zbytečně zatěžují naše servery. 

Abyste ušetřili čas, zde jsou některé koncové body: 

https://www.scribblemaps.com/ 
(Pokud provádíte skenování, zablokujte cestu /maps/, protože ta by skenery zavedla do nekonečné smyčky) 

https://team.scribblemaps.com 
https://manage.scribblemaps.com 
https://widgets.scribblemaps.com 
https://api.scribblemaps.com 
https://data.scribblemaps.com

Platby

Neexistují žádné záruky ohledně časového harmonogramu plateb. Vyčleňujeme měsíční rozpočet, přičemž závažné problémy jsou vždy vypláceny jako první. Platby provádíme pouze prostřednictvím služeb Wise nebo PayPal.
 

Propadnutí odměny

Ověření nebo přijetí hlášení zakládá pouze způsobilost pro získání odměny, nikoli bezpodmínečný nárok na ni. ScribbleMaps může snížit nebo zcela či zčásti zadržet odměnu, pokud chování výzkumníka porušuje tyto podmínky nebo zásady koordinovaného zveřejňování v dobré víře. Propadnutí odměny je na uvážení společnosti ScribbleMaps; důvod je zaznamenán v hlášení a sdělen výzkumníkovi.

Odměna, která by jinak byla vyplatitelná, může propadnout z kteréhokoli z následujících důvodů:

1. Předčasné nebo vyhrožované veřejné zveřejnění. Zveřejnění zranitelnosti — nebo vyhrožování jejím zveřejněním — veřejně, třetím stranám nebo prostřednictvím médií/sociálních sítí předtím, než ScribbleMaps problém napraví a zveřejnění povolí. Koordinované zveřejňování je podmínkou programu.
2. Nátlak, vydírání nebo obtěžování. Podmiňování nezveřejnění platbou; vyhrožování zaměstnancům nebo vyvíjení tlaku na ně; nebo opakované či zneužívající vyžadování plateb prostřednictvím kanálů podpory, fakturace nebo hlášení. Dotazy na stav odměny by měly být vznášeny prostřednictvím portálu pro odměny, na které ScribbleMaps odpoví.
3. Vícečetné nebo duplicitní identity. Provozování více než jednoho účtu výzkumníka nebo směrování odměn pro samostatné účty na sdílenou platební adresu s cílem uměle navýšit objem podání nebo odměn.
4. Koluze nebo vykonstruovaná zjištění. Koordinace podání napříč účty, používání účtu nebo map jiného účastníka jako „oběti“ v konceptu (proof of concept) nebo vytvoření stavu dat, který produkt nemůže vygenerovat, a následné uvádění výsledných dat jako úniku.
5. Nízké úsilí nebo automatizovaný spam. Hromadné odesílání výstupů z automatických skenerů, seznamů zastaralých knihoven/CVE nebo známých položek mimo rozsah (viz Out of Scope) bez prokázaného exploitu specifického pro ScribbleMaps.
6. Škodlivé nebo nezákonné testování. Přístup k datům jiných uživatelů, jejich pozměňování nebo exfiltrace nad rámec nezbytného minima pro prokázání problému; omezování nebo odmítnutí služby (DoS); sociální inženýrství zaměřené na zaměstnance nebo uživatele; nebo jakákoli činnost zakázaná rozsahem programu nebo platnými zákony.
7. Zkreslování informací nebo podvod. Falšování kroků k reprodukci, důkazů, dat objevení nebo identity.

Poznámky.

• Propadnutí může být částečné (snížená odměna) nebo úplné (0 $).
• Ověřené hlášení, které propadlo z důvodu pochybení, nelze znovu podat pro stejný nález.
• Tyto podmínky platí od okamžiku odeslání a jsou znovu uvedeny v oznámení o přijetí zaslaném při schválení hlášení.

Jak odeslat hlášení

Navštivte prosím: https://api.scribblemaps.com/vulnerabilities

Stránka obsahuje také pokyny, jak odesílat hlášení prostřednictvím AI. Pro odeslání hlášení se musíte přihlásit.

Právní ustanovení

Nemůžeme udělovat odměny osobám, které jsou na sankčních seznamech, nebo které se nacházejí v zemích na sankčních seznamech (např. Kuba, Írán, Severní Korea, Súdán a Sýrie). Jste odpovědní za jakékoli daňové důsledky v závislosti na zemi vašeho pobytu a občanství. V závislosti na vašich místních zákonech mohou existovat další omezení pro vaši možnost se zapojit.

Nejedná se o soutěž, ale spíše o experimentální program odměn založený na našem uvážení. Berte prosím na vědomí, že program můžeme kdykoli zrušit a rozhodnutí o tom, zda odměnu vyplatíme, či nikoli, závisí zcela na našem uvážení.

Vaše testování samozřejmě nesmí porušovat žádné zákony ani narušovat či ohrožovat jakákoli data, která nejsou vaše vlastní.